Inca o pierdere de timp

Postat de:blogger 1203 zile in urma • Discuta • http://feedproxy.google.com

Am mai explicat aici scopul nostru. Unii au inteles ideea, altii nu au ajuns sa citeasca deloc si desigur ca o parte au inteles anapoda sau nimic.

Mai explic inca o data pentru cei care nu au apucat sa citeasca respectivul articol. Asta e, oricum ma plictisesc la munca.

Lumea i-a sarit in cap lui zoso pentru ca promoveaza hackingul. Victime colaterale, ajutor acordat spammerilor, lipsa de profesionalism, script kiddies. Cuvinte grele auzite des in ultima vreme. Pe cine credeti ca afecteaza? Pe noi in niciun caz.

Mi-e greu sa repet acest lucru de fiecare data dar iata ca o voi face. Full disclosure e o metoda aplicata in intreaga lume de toti expertii in securitate. Da, aia care va pun la dispozitie programe de protectie, add-on-uri anti-xss & other shitz. Ii arata cineva cu degetul? Nu. De ce? Pentru ca oamenii din afara nu sunt atat de obtuzi incat sa nu faca diferenta intre full disclosure si “show off“.

Revenim. Ionut Oprea ne vorbeste despre victime colaterale. Victimele despre care vorbesti tu dragul meu Ionut sunt afectate de ani buni deoarece vulnerabilitatile erau mentinute la nivel privat. Bazele de date se vindeau pe rupte si spamul e in floare de cand lumea si pamantul.

Ionut. Cu tot respectul si fara intentia de a te ofensa, iti spun urmatoarele: pune mana si acceseaza site-urile de securitate din afara. Cele consacrate. O sa vezi o rata uriasa de full disclosure inainte de a fi anuntat vendor-ul. Asa din greseala o sa dai peste vreo 2 site-uri guvernamentale din US care fac EXACT acelasi lucru. Tot ce publica ei trece din faza 0day la public disclosure instant si sunt afectate mii de site-uri, nu doar unul singur. Cine se plange ca guvernul SUA face asta? Nimeni. Si asta intr-o tara in care hackingul te baga la inchisoare pentru zeci de ani de zile.

CTI97 ne spune pseudo hackeri si ne aduce aminte ca ne-a dovedit el odata pe blogul lui zoso. Sincer nici nu stiam de existenta ta pana acum iar in privinta cuvantului hacker ce sa zic… e doar inclus in numele domeniului pentru a fi mai usor de tinut minte. Nu mai avem varsta la care sa credem in filme cu Angelina Jolie. Totusi ma intreb, tu cu ce ai schimbat internetul din Romania? Sau macar ai incercat sa o faci? Ai idee cum? In fine, nu conteaza. Esti blogger vechi si trebuie sa ai dreptate. NOT!

In privinta bazelor de date stati linistiti. Nimeni nu le pune deoparte iar cand e vorba de site-uri cu extrem de multi useri cum a fost cazul ejobs se asteapta rezolvarea situatiei. Acum ganditi si voi putin. Il anuntam pe admin ca i se poate accesa baza de date iar apoi spamam userii lui? Nu ar bate la ochi? Off, Doamne. Desigur ca vulnerabilitatile primite de la cititori nu pot fi controlate in totalitate. Probabil ajung la noi la mana a 3-a si nu stim ce au facut inainte cu ele. Dar ne facem datoria si le raportam.

Metodele de spam mai private pe care le-am prezentat aici atrag la randul lor nemultumiri. Totusi ele sunt folosite de ceva timp intr-un cerc foarte restrans de oameni. Preferati sa nu stiti cum isi umfla unii statisticile? Cand o metoda privata e dezvaluita oamenii ca zoso taxeaza firmele ce castiga bani din spam. E rau ca face asta? Eu zic ca nu. Credeti ca astea sunt adevarate 0day? Sa vedeti ce urmeaza.

Sunt curios cati dintre voi realizeaza ca nu promovam hackingul si spamul. In clipa in care o vulnerabilitate e raportata de noi se si patchuieste.  Si desigur asta inseamna ca cei care au profitat (probabil) de ea pana acum au ramas fara sursa de mailuri sau, de ce nu, fara cartile de credit ale “victimelor colaterale”.

Uitati-va la articole si vedeti cate sunt trimise de catre useri. Cativa pana nu de mult spargeau, vindeau sau stricau. Acum ne raporteaza noua si in 2 zile problema e rezolvata. Stiti de ce? Pentru ca nimeni in tara noastra plina de oameni obtuzi nu s-a gandit ca unii oameni vor doar sa fie creditati pentru ce descopera. Atat. Sau preferati ca in loc sa ne raporteze noua vulnerabilitatile sa extraga toate informatiile si sa le vanda pe cateva sute de euro? Sau sa faca deface la site-uri?

“Astia stiu doar sql injection”. Nu, “astia” stiu mai multe dar se mentin in limitele legale. Iar “astia” sunt mai multi decat vedeti pe blog, fiecare cu diferite cunostinte fata de ceilalti, dar posteaza doar cativa dintre ei in numele tuturor.

Partea legala. Nu mai fiti “ingrijorati” in privinta asta. Daca apare o problema cu justitia o sa ne afecteze pe noi nu si pe voi. Nu suntem atat de idioti incat sa fie nevoie de articole si comentarii in care ni se atrage atentia asupra acestui aspect.

In fine, suntem nedormiti de 24 ore, avem de munca si trebuie sa ne apucam de treaba. Script kiddies sau nu uite ca ne facem treaba in putinul timp liber pe care il avem. Si uite ca se iau masuri. Macar noi promovam etica si am reusit sa primim ajutor de la cei pe care ii injurati cand va fac deface la site-uri. Cand or sa reuseasca si altii sa converteasca oamenii care pana de curand distrugeau tot ce intalneau in cale, atunci sa ne aratati cu degetul.

Multumim pentru feedback-uri, atat pentru cele negative cat si pentru cele pozitive. Noi ne-am spus punctul de vedere, voi la fel. Internetul reprezinta dreptul la opinie si respectam asta.

Have fun.

P.S. - urmeaza facebook.com si Yahoo!. Hai unu-le cu articolele ca se “plicti” lumea.

inca       pierdere       timp